Mobbin이 Hacktron으로 거의 즉각적인 보안 분류를 실현한 방법

“이것 말고는 확장할 방법이 떠오르지 않습니다.

“보안 문제의 1차 검토를 Hacktron에 맡길 수 있어 큰 도움이 됩니다.”

Jian Jie Liau
CTO

Mobbin 소개

Mobbin은 현대 제품 팀의 필수 인프라로 자리 잡았습니다. 200만 명이 넘는 디자이너가 실제 출시된 모바일 앱, 웹 앱, 웹사이트의 화면 60만 개 이상을 모은 Mobbin 라이브러리를 활용해 세계 최고의 디지털 제품에서 배웁니다.

과제: 출시 후에야 드러나고 담당자도 불분명했던 발견 사항

AI 덕분에 Mobbin 엔지니어링 팀이 코드를 작성하고 배포하는 속도는 크게 빨라졌습니다.

보안 발견 사항은 기능이 출시된 뒤에야 드러나는 경우가 많았습니다. 그때는 이미 담당자가 분명하지 않아, 팀은 이슈마다 조사할 적임자를 찾아야 했습니다.

“예전에는 기능이 출시된 뒤에 보안 발견 사항이 나타났습니다. 담당자가 지정되어 있지 않아서 이를 맡을 사람을 찾아야 했습니다.”

Jian Jie Liau
CTO

과제: 여러 영역에 걸친 변경을 감당하기 어려웠던 수동 리뷰

Hacktron 도입 전에는 보안 리뷰를 수동으로 했습니다. 엔지니어가 직접 테스트를 작성하고 풀 리퀘스트를 리뷰했습니다. 작고 독립적인 변경에는 이 방식이 통했습니다. 여러 영역에 걸친 변경은 더 어려웠습니다. 어떤 리뷰어든 팀이 이미 파악하고 있는 시스템 간 상호작용까지만 고려할 수 있었기 때문입니다.

“일반적으로 작고 테스트 가능한 단위는 괜찮습니다. 하지만 여러 영역에 걸친 변경에서는 시스템이 코드베이스 전반에서 어떻게 상호작용하는지에 대한 팀의 이해가 곧 테스트 스위트의 한계가 됩니다.”

Jian Jie Liau
CTO

코드 생성 속도가 빨라지면서 Mobbin에는 그 속도를 따라가고, 모든 변경에 더 넓은 애플리케이션 컨텍스트를 더하며, 코드에 대한 기억이 생생할 때 엔지니어가 결정을 내리도록 돕는 보안 리뷰가 필요했습니다.

Hacktron, 모든 풀 리퀘스트에 보안 리뷰를 더하다

Mobbin은 이제 모든 풀 리퀘스트의 1차 보안 검토에 Hacktron을 사용합니다. Hacktron이 발견 사항을 찾으면 PR 리뷰 과정의 일부로 표시되므로, 보안 리뷰가 출시 후가 아니라 코드와 함께 진행됩니다. Hacktron은 각 변경을 더 넓은 코드베이스와 대조해 리뷰하고, 그 변경이 애플리케이션과 어떻게 상호작용하는지 추적한 뒤 발견 사항을 GitHub에 직접 게시합니다.

“Hacktron을 쓰면 보안 발견 사항이 PR 리뷰 과정에서 나타나고, PR 담당자가 곧 보안 발견 사항의 담당자가 됩니다.”

Jian Jie Liau
CTO

코드가 바뀌면 Hacktron이 다시 리뷰합니다. 엔지니어는 풀 리퀘스트가 진행 중일 때 발견 사항을 보고, 증거를 살펴본 뒤 최종 분류 결정을 내립니다.

“저희가 코드를 배포하는 속도가 크게 빨라졌습니다.

“한 번 더 살펴봐 줄 눈으로서 자동화된 PR 보안 리뷰 도구가 분명히 필요했습니다.”

Jian Jie Liau
CTO

• Hacktron 도입 전: 발견 사항이 출시 후에야 드러나는 경우가 많았고, 담당자가 분명하지 않았습니다.
• Hacktron 도입 후: 발견 사항이 PR 리뷰 중에 드러나, 보안이 진행 중인 변경의 일부가 됩니다.

전체 코드베이스 컨텍스트

Hacktron은 판단에 애플리케이션 컨텍스트를 더해 발견 사항을 더 빠르게 분류할 수 있게 합니다.

Hacktron은 변경 사항을 애플리케이션의 다른 곳에 있는 코드와 연결해, 따로 떼어 본 diff만으로는 알아채기 어려운 보안상 영향을 짚어 낼 수 있습니다. 코드베이스가 발전하면서 취약한 경로를 만들 수 있는 구조적 변경도 식별할 수 있습니다.

“제가 높이 평가하는 점은 Hacktron이 기존 보안 취약점만 확인하지 않는다는 것입니다.

“위험도가 높은 영역이나 변경도 짚어 줍니다. 작성 시점에는 위험이 없지만, 코드가 구성된 방식 때문에 이후 변경을 거치며 취약점이 생길 가능성이 있는 영역입니다.”

Jian Jie Liau
CTO

결과: 발견에서 결정까지 몇 분

“Hacktron이 PR 리뷰 과정의 일부이기 때문에 엔지니어는 발견 사항에 거의 즉시 대응합니다.

“PR 담당자가 곧 보안 발견 사항의 담당자입니다.”

Jian Jie Liau
CTO

Mobbin이 Hacktron을 사용한 첫 8주 동안 21건의 발견 사항이 최종 판정을 받았습니다. 분류 시간의 중앙값은 약 32분이었습니다. 가장 오래 걸린 경우도 10.3시간 안에 분류되었습니다. 모든 풀 리퀘스트로 보안 리뷰를 옮기고 각 발견 사항에 애플리케이션 컨텍스트를 모아 줌으로써, Hacktron은 분류를 출시 후의 인계 작업에서 진행 중인 개발 워크플로의 일부로 바꾸었습니다.

AI 네이티브 엔지니어링 팀에게 보안 리뷰는 이제 코드 생성 속도를 따라갈 수 있으며, 변경이 아직 진행 중일 때 문제를 일찍 드러내 대응할 수 있게 합니다.